2026-10-22 11:32:30 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

PHP曝出两个9.2分严重漏洞：补丁即将发布，运维团队现在该做什么？

白安全组

2026年10月21日 16:58
江苏

去阅读

网络安全快讯 · 2026年10月21日

PHP 安全团队预告即将发布紧急更新：两个核心漏洞的 CVSS v4.0 评分均为 9.2。

它们被外部安全机构关联到 CVE-2026-109618 和 CVE-2026-109619，并被认为可能带来远程代码执行风险。PHP 广泛用于网站、业务后台和内部系统，运维团队现在就该盘点资产、预留升级窗口。

先说清楚：截至本文整理时，PHP 官方尚未公布完整技术细节、精确受影响版本和确认有效的临时缓解方案。“PHP2Shell”是社区称呼，不是官方漏洞名称。

01｜目前确认了什么？

PHP 官方公告确认：此次安全更新针对两个严重漏洞，评分均为 CVSS v4.0 9.2。计划于 10 月 21 日 14:00 UTC（北京时间 22:00）发布；若技术细节提前泄露或出现实际利用证据，也可能提前发布。

欧盟计算机应急响应团队 CERT-EU 提醒组织尽快识别 PHP 资产，并准备在修复版本发布后立即升级。关于“PHP 5 以后所有版本都受影响”的说法，官方尚未确认，不能据此直接判断单台服务器是否存在漏洞。

02｜为什么要连夜盘点？

PHP 资产远不止 WordPress。企业官网、电商、CRM、工单、运维面板、内部 API、定时任务和容器，都可能运行不同版本的 PHP。系统自带、面板内置和容器镜像中的 PHP，还可能由不同团队维护。

若远程代码执行在常见部署中成立，攻击者可能获得 Web 服务账号权限，进而读取配置与数据库凭据、写入站点文件或接触内网资源。实际可利用条件和影响范围仍需等待官方公告。

03｜读者可复制的安全自查

目前没有经过 PHP 官方确认的漏洞触发条件，因此不能把“跑出某个版本号”当作漏洞复现。下面这组非攻击性自查命令只用于找出本机运行的 PHP 及部署方式，方便补丁发布后对照官方受影响清单：

# 命令行 PHP 版本与运行方式
php -r 'echo PHP_VERSION, \" | \", PHP_SAPI, PHP_EOL;'

# 找出正在运行的 PHP-FPM / Apache 进程
ps -eo pid,args | grep -E '[p]hp-fpm|[a]pache2|[h]ttpd'

# Apache 是否加载 PHP 模块（如适用）
apachectl -M 2>/dev/null | grep -i php

# 容器环境中的 PHP 镜像（如适用）
docker ps --format '{{.Names}}  {{.Image}}' | grep -i php

提示：php -v只反映命令行环境，未必是网站实际使用的 PHP。面板、多 FPM 进程池和容器都要分别核对；不要在公网留下 phpinfo() 测试页。